Molntjänster och sekretess i offentlig sektor

Molntjänster är en del av vardagen i offentlig förvaltning, och sekretessreglerna avgör hur de får användas. Det ramverk för dataskydd mellan EU och USA som beskrevs i förra delen gäller personuppgifter. Sekretessreglerna gäller alla sekretessbelagda uppgifter och är den svenska delen av frågan om amerikanska lagar och data som lagras i Europa.

När en uppgift räknas som utlämnad

Enligt förarbetena till offentlighets- och sekretesslagen, prop. 2022/23:97, räknas en sekretessbelagd uppgift som utlämnad när den görs tillgänglig för en tjänsteleverantör. Det gäller även när leverantören bara driftar ett system åt myndigheten. Ett undantag är när uppgiften är krypterad så att mottagaren saknar möjlighet att ta del av innehållet.

Sedan den 1 juli 2023 gäller 10 kap. 2 a §. Sekretess hindrar inte att en uppgift lämnas till någon som för myndighetens räkning endast tekniskt bearbetar eller tekniskt lagrar den, om det med hänsyn till omständigheterna inte är olämpligt. Leverantören och dess underleverantörer har då tystnadsplikt enligt en särskild lag från 2020.

Vad som ska vägas in

Bedömningen ska vara allsidig. I förarbetena nämner regeringen bland annat vilken typ av uppgifter det gäller, hur omfattande de är, vilka skyddsåtgärder mottagaren har och om avtalet riskerar att ta kontrollen över uppgifterna från myndigheten. Även den geografiska placeringen kan ha betydelse, liksom om underleverantörer kan få tillgång till uppgifterna och om de samlokaliseras med andra kunders. När utlämnandet gäller större mängder uppgifter kan det enligt regeringen vara lämpligt att dokumentera bedömningen.

Säkerhetspolisen och andra remissinstanser ville att det också skulle vägas in om mottagaren lyder under ett annat lands rättsordning.

eSam, där myndigheter samverkar om digitalisering, har gett ut en vägledning om utkontraktering och skriver på sin sida om molnfrågan att andra länders lagstiftning kan inverka extraterritoriellt på publika moln. eSam skiljer mellan publika, gemensamma och privata moln. Ett privat moln är avgränsat till en organisation, vilket kan vara relevant när kraven på datasuveränitet, sekretess eller säkerhet väger tungt.

AI, molnpolicyn och frågor att ställa

Undantaget gäller när leverantören endast tekniskt bearbetar eller lagrar uppgifterna. En AI-tjänst läser och sammanfattar innehållet för att kunna svara. Hur det förhåller sig till undantaget får bedömas i varje enskilt fall, helst innan uppgifterna lämnas. Enklast är läget när ingen uppgift lämnas ut alls, till exempel när AI körs i myndighetens egen installation.

Den 28 maj 2026 beslutade regeringen om Sveriges första molnpolicy för offentlig förvaltning. Policyn ska stärka säkerheten, minska beroenden och ge bättre kontroll över data. Den betonar också möjligheten att byta leverantör, med öppna standarder, tydliga avtal och en plan för utträde. Post- och telestyrelsen ska stödja tillämpningen.

Inför ett val behöver myndigheten veta var uppgifterna hanteras, vilka underleverantörer som kan nå dem och om miljön delas med andra kunder. Lika viktigt är vilket lands lag som gäller för leverantören och dess ägare, hur data flyttas vid ett byte och om något skickas vidare till publika AI-tjänster. Svaren blir underlag för olämplighetsprövningen och för dokumentationen av den. Se också AI i offentlig sektor och AI med höga krav på sekretess. Nästa del tar upp frågan är ett suveränt moln tillräckligt?

Så fungerar det i iSearch

iSearch kan köras hos er, med hela kedjan i myndighetens egen miljö och utan publika AI-tjänster. Då finns uppgifterna kvar hos er.

iSearch kan också köras hos oss. Driften sker i Sverige, av ett svenskt bolag utan amerikanska ägare och utan amerikanskägda underleverantörer för driften. Varje kund får en egen, avskild miljö som aldrig delas med andra, så uppgifterna samlokaliseras inte med andra kunders. Hos oss kan iSearch köras helt utan publika AI-tjänster, med språkmodellen i den svenska driften.

Uppgifterna kan användas direkt i er egen olämplighetsprövning. Om ni väljer att använda publika AI-tjänster behöver de uppgifter som skickas dit bedömas för sig. Läs mer om egen installation eller molntjänst eller boka en genomgång.